Security Champions y modelado de amenazas

Un Security Champion es un desarrollador o ingeniero integrado en un equipo de producto que actúa como enlace de seguridad. No es un profesional de seguridad a tiempo completo, pero cuenta con formación adicional en seguridad y promueve las buenas prácticas de seguridad dentro de su equipo.

Un programa de Security Champions amplía los conocimientos de seguridad por toda la organización:

• 1-2 champions por equipo de producto
• Formación periódica y reuniones con el equipo de seguridad
• Responsabilidad de realizar revisiones de seguridad en su equipo
• Facilita la comunicación entre los equipos de desarrollo y seguridad
• Reduce el cuello de botella de las revisiones de seguridad centralizadas

El modelado de amenazas es un análisis estructurado de las posibles amenazas para un sistema antes de construirlo. Responde a estas preguntas:

• ¿Qué estamos construyendo?
• ¿Qué puede salir mal?
• ¿Qué vamos a hacer al respecto?
• ¿Hemos hecho un trabajo suficientemente bueno?

STRIDE es la taxonomía más común para el modelado de amenazas:

• Spoofing — suplantar a otro usuario o sistema
• Tampering — modificar datos o código
• Repudiation — negar haber realizado una acción
• Information disclosure — exponer datos a partes no autorizadas
• Denial of service — interrumpir la disponibilidad
• Elevation of privilege — obtener permisos no autorizados

El modelado de amenazas comienza con un diagrama de flujo de datos que muestra:

• Procesos — componentes de la aplicación
• Almacenes de datos — bases de datos, archivos y cachés
• Entidades externas — usuarios y API de terceros
• Flujos de datos — cómo se mueven los datos entre los componentes
• Límites de confianza — dónde cambian los privilegios

Aplique cada categoría de STRIDE a cada elemento:

• En cada cruce de un límite de confianza: Suplantación, Manipulación
• En cada almacén de datos: Manipulación, Divulgación de información
• En cada proceso: se aplican todas las categorías de STRIDE
• Para cada flujo de datos: Manipulación, Divulgación de información

PASTA es una metodología de modelado de amenazas centrada en el riesgo y compuesta por siete etapas:

1. Definir los objetivos empresariales
2. Definir el alcance técnico
3. Descomponer la aplicación
4. Analizar las amenazas
5. Analizar las vulnerabilidades y debilidades
6. Modelar los ataques
7. Analizar el riesgo y el impacto

Modele las amenazas:

• Al diseñar nuevas funcionalidades o sistemas
• Cuando la arquitectura cambie significativamente
• Después de un incidente de seguridad (actualice el modelo)
• Una vez al año para los sistemas críticos

El modelado temprano de amenazas evita costosas reelaboraciones: cambiar la arquitectura es económico antes de escribir el código.

Herramientas para el modelado de amenazas:

• OWASP Threat Dragon — editor de DFD gratuito y basado en la web
• Microsoft Threat Modeling Tool — centrada en STRIDE y basada en Windows
• IriusRisk — empresarial e integrada con Jira
• draw.io — para crear DFD manuales sencillos

Los referentes de seguridad hacen accesible el modelado de amenazas:

• Formule las amenazas como historias de usuario: "Como atacante, puedo..."
• Relacione las amenazas con OWASP Top 10 para facilitar su comprensión
• Cree tickets de requisitos de seguridad en el mismo backlog
• Mida la deuda de seguridad junto con la deuda técnica

Entregables de un modelo de amenazas:

• Registro de amenazas con todas las amenazas identificadas
• Clasificación de riesgo por amenaza (probabilidad × impacto)
• Mitigaciones para cada amenaza
• Requisitos de seguridad para el backlog
• DFD documentado y almacenado junto con los documentos de diseño

Los referentes de seguridad integran conocimientos de seguridad en los equipos de producto y permiten ampliar la seguridad sin crear cuellos de botella. El modelado de amenazas (STRIDE, PASTA) identifica las amenazas antes de escribir el código mediante diagramas de flujo de datos. Categorías de STRIDE: Suplantación, Manipulación, Repudio, Divulgación de información, DoS y Elevación de privilegios. Resultado: un registro de amenazas con clasificaciones de riesgo y tickets de seguridad en el backlog.